VENOM(CVE-2015-3456) 影響範囲メモ

• Xen, KVM等の、仮想化ハードウェアとしてQEMUを利用している環境で発生
  • VMware,Bochsは対象外
  • Hyper-VもXenと仮想化コアは同じだが仮想化ハードウェアが違うので対象外
  • Xen利用のAWSは対象外。自前でFDCを外している？*1
  • おそらくVirtualBoxも対象？
• FDドライブを接続していなくても、QEMUの仮想化ハードウェア(ICH9)がFDコントローラを積んでいるので対象となる。

  • This issue affects all x86 and x86-64 based HVM Xen and QEMU/KVM guests, regardless of their machine type, because both PIIX and ICH9 based QEMU machine types create ISA bridge (ICH9 via LPC) and make FDC accessible to the guest. It is also exposed regardless of presence of any floppy related QEMU command line options so even guests without floppy disk explicitly enabled in the libvirt or Xen configuration files are affected.

• セキュリティフレームワークによる回避
  • EL系: ホスト側でSELinuxのsVirtを有効化していれば回避できる可能性あり
    • http://www.slideshare.net/moriwaka/rhel6-kvm/139
      
      
  • Ubuntu: AppArmorを有効にしていれば回避可能

    • In the default installation,when QEMU is used with libvirt, attackers would be isolated by the libvirt AppArmor profile.

• 今のところ、ゲストがホストのQEMUプロセスをクラッシュさせられるくらいで、任意のコードの実行や情報取得は難しそうとの声
  • ただし慢心は禁物

• URL
  • VENOM Vulnerability
  • CVE - CVE-2015-3456
  • RedHat
    • Security Advisory Important: qemu-kvm-rhev security update
    • VENOM: QEMU vulnerability (CVE-2015-3456)
    • VENOM, don’t get bitten.
  • Ubuntu
    • USN-2608-1: QEMU vulnerabilities

追記

• 2015-05-14 15:00 「ゲストがホストをクラッシュさせられる」を「ゲストがホストのQEMUプロセスをクラッシュさせられる」に変更しました。

*1:XSA Security Advisory CVE-2015-3456